Automatización de Certificados SSL

Certificados SSL automatizados: compara los planes

Ofrecemos seis certificados SSL automatizados en dos grupos: cuatro planes RapidSSL y GeoTrust que funcionan tanto con AutoInstall SSL® como con ACME, y dos certificados Sectigo y DigiCert para tu propio cliente ACME.

Planes compatibles con ambos métodos de automatización

Usa el método que mejor se adapte a tu servidor. Cada plan es una suscripción anual con reemisiones gratuitas e ilimitadas, así que los ciclos de vida más cortos del certificado significan más reemisiones automáticas, no más compras.

Certificados para tu propio cliente de automatización

Estos certificados solo funcionan con ACME, así que los conectarás a un cliente ACME como Certbot, acme.sh o win-acme.

¿Qué método de automatización SSL se adapta a tu servidor?

Existen cuatro formas de automatizar los certificados SSL: AutoInstall SSL® para tu propio servidor Apache, NGINX o IIS; ACME para cualquier entorno con un cliente ACME; una plataforma de gestión del ciclo de vida de certificados para grandes infraestructuras; y el SSL integrado de tu proveedor en hosting compartido. La herramienta de automatización de certificados SSL adecuada depende de dónde se ejecute tu sitio y cuánto acceso tengas al servidor. Encuentra tu configuración en la siguiente tabla.

¿Estás en hosting compartido? La mayoría de los proveedores de hosting compartido incluyen un certificado gratuito. En cPanel se llama AutoSSL, que es algo distinto de AutoInstall SSL®. Aun así puedes instalar un certificado de pago en hosting compartido, pero tendrás que renovarlo y reinstalarlo manualmente: al menos 4 veces al año a partir de 2027, y 8 o más para 2029. Si tu proveedor te da acceso SSH, un cliente ACME como acme.sh podría funcionar; consulta nuestra guía de ACME para cPanel y verifica primero con tu proveedor. Los creadores de sitios web como Wix, Shopify y Squarespace generalmente solo usan sus propios certificados.

¿No estás seguro de qué método te conviene? Contacta a nuestro soporte 24/7 con el tipo de servidor que tienes y te indicaremos el adecuado.

Por qué la automatización SSL ahora es esencial

En abril de 2025, el CA/Browser Forum adoptó la votación SC-081v3, que reduce la vida útil máxima de los certificados SSL/TLS públicos en tres etapas. Apple, Google, Microsoft y Mozilla votaron a favor. La primera etapa está vigente desde el 15 de marzo de 2026, y cada etapa posterior hace que la automatización de certificados SSL sea cada vez más indispensable.

Cronología de validez SSL (2026-2029)

Con la ventana de renovación actual de AutoInstall SSL® de 28 días. Los clientes ACME que admiten ARI renuevan cuando la CA lo sugiere, por lo que el número exacto varía.

¿Con qué frecuencia hay que renovar un certificado SSL?

Según la votación SC-081v3, al menos dos veces al año en la actualidad (máximo de 200 días desde el 15 de marzo de 2026), 4 veces al año a partir del 15 de marzo de 2027 (100 días) y 8 veces al año a partir del 15 de marzo de 2029 (47 días). La renovación automatizada se ejecuta un poco más seguido, porque comienza antes: aproximadamente 2, 5 y 20 veces al año con la ventana de renovación actual de 28 días.

El volumen de renovaciones aumenta rápidamente. Con la ventana actual de 28 días, 50 certificados con ciclos de vida de 47 días significan aproximadamente 1000 renovaciones al año, lo cual no es realista de gestionar manualmente.

Una renovación SSL fallida también es muy visible. Los navegadores muestran una advertencia de seguridad a pantalla completa, los visitantes se marchan y los pagos en línea dejan de funcionar hasta que se reemplace el certificado.

La reutilización de la validación de dominio también se está reduciendo. A partir del 15 de marzo de 2029, una verificación de dominio exitosa solo podrá reutilizarse durante 10 días, así que casi cada renovación necesitará una validación nueva. La automatización también se encarga de ese paso por ti.

¿199 o 200 días?

Tanto 199 como 200 días son correctos. Las reglas del CA/B Forum indican que un certificado no debe superar los 200 días y no debería superar los 199. DigiCert, la CA detrás de RapidSSL y GeoTrust, emite certificados de 199 días para mantenerse dentro del límite.

Cómo funciona la gestión automatizada de certificados SSL

Una vez configurada, la gestión automatizada de certificados SSL repite el mismo ciclo para cada certificado:

Esto se configura una vez por servidor. Tu clave privada permanece en tu propio servidor, y mientras tu suscripción esté activa, cada reemisión posterior, incluidas las adicionales que traen los ciclos de vida más cortos, se ejecuta automáticamente a través del mismo ciclo. Esto es la renovación automatizada de certificados SSL en la práctica: sin recordatorios, sin copiar archivos.

La renovación no es lo mismo que la implementación

Un certificado renovado solo protege a tus visitantes una vez que está instalado y el servidor se ha recargado. Una buena automatización de renovación de certificados SSL cubre los tres pasos: renovación, instalación y recarga. AutoInstall SSL® realiza los tres. Con ACME depende del cliente: los plugins de Apache y NGINX de Certbot se encargan de la instalación, mientras que otros clientes pueden necesitar un enlace de implementación (deploy hook).

Automatización sin esfuerzo para Apache, NGINX e IIS

AutoInstall SSL® es el agente de automatización de DigiCert para servidores web. Es la opción más fácil si administras tu propio servidor y no quieres configurar nada después de la instalación inicial.

• Servidores compatibles: IIS en Windows Server 2016, 2019, 2022 y 2025; Apache y NGINX en Ubuntu, Debian, CentOS y otras distribuciones principales de Linux.
• Lo que necesitas: acceso root o de administrador al servidor.
• Validación: por archivo o DNS.
• Renovaciones: 28 días antes del vencimiento, con verificación diaria y alerta por correo electrónico si algo falla.

Funciona con todos los planes RapidSSL y GeoTrust mencionados arriba. No funciona en hosting compartido, en creadores de sitios web como Wix o Squarespace, ni en cuentas gestionadas de cPanel o Plesk sin acceso root, porque el agente necesita instalar software en el propio servidor.

Usa tu propio cliente: Certbot, Caddy, cert-manager y más

ACME, el Automatic Certificate Management Environment, es un estándar abierto ampliamente utilizado para la automatización de certificados, definido en el RFC 8555 (2019). Todos los certificados de esta página lo admiten: los cuatro planes RapidSSL y GeoTrust, Sectigo ACME CaaS y DigiCert ACME. Con un certificado de pago compatible con ACME, obtienes credenciales de automatización únicas después de la compra. Tu cliente se conecta a tu cuenta mediante External Account Binding (EAB): un ID de clave y una clave secreta (una clave HMAC) que introduces una sola vez. Después de eso, el cliente solicita certificados, completa la validación y los renueva por sí solo, y tu clave privada nunca sale de tu servidor.

ACME funciona con Certbot, acme.sh, win-acme, cert-manager y Caddy, además de muchos cortafuegos y dispositivos NAS. Los clientes más recientes también admiten ACME Renewal Information (ARI, RFC 9773), que permite a una autoridad de certificación que lo ofrezca indicarle a tu cliente cuándo renovar.

¿Configuras un cliente por primera vez? Mantenemos 13 guías paso a paso para clientes ACME, desde Apache y NGINX hasta Kubernetes, servidores de correo y Escritorio remoto, incluyendo win-acme para IIS, FortiGate, pfSense y Synology NAS.

Certificados SSL automatizados gratuitos frente a de pago

Let’s Encrypt es gratuito y totalmente automatizable. Una vez que la renovación está automatizada, un ciclo de vida corto no es un problema en sí mismo. Las diferencias reales están en los tipos de validación, la garantía, el soporte y las alertas.

Las filas de vigencia muestran lo que emite DigiCert; la fila de verificación de dominio muestra el máximo del CA/B Forum, y una CA puede usar períodos más cortos.

Ambas opciones cifran el tráfico exactamente de la misma manera, así que la elección depende de lo que rodea al certificado. Los certificados DV solo prueban el control del dominio. Los certificados OV y EV también verifican la organización detrás del sitio, algo que algunas empresas, socios y equipos de compras requieren.

Si tu sitio solo necesita cifrado básico y te sientes cómodo usando Certbot, Let’s Encrypt es una buena opción. Si quieres una garantía, validación OV o EV, alertas de fallos o soporte 24/7, elige un certificado automatizado de pago. Para un análisis más detallado, lee Let’s Encrypt vs SSL Dragon.